Bài giảng bảo mật hệ thống thông tin (dành cho hệ đào tạo từ xa)

HỌC VIỆN CÔNG NGHỆ BƯU CHÍNH VIỄN THÔNG CƠ SỞ TP. HỒ CHÍ MINH BÀI GIẢNG BẢO MẬT HỆ THỐNG THÔNG TIN DÀNH CHO HỆ ĐÀO TẠO TỪ XA Biên soạn: Lê Phúc Tháng 7/2007 1MỞ ĐẦU Tài liệu này được xây dựng với mục đích giúp sinh viên hệ đào tạo từ xa nghiên cứu các vấn đề về bảo mật hệ thống thông tin. Bảo mật hệ thống thông tin là tập các kỹ thuật, dịch vụ, cơ chế và ứng dụng phụ trợ giúp triển khai các hệ thống thông tin với độ an toàn cao nhất, mà cụ thể là để bảo vệ ba đặc trưng cơ bản của một hệ thống an toàn là tính Bí mật, tính Toàn vẹn và tính Khả dụng của thông tin. Tính bảo mật của hệ thống là vấn đề được cân nhắc ngay khi thiết kế hệ thống và được thực hiện xuyên suốt trong quá trình thi công, vận hành và bảo dưỡng hệ thống. Trong thời điểm mà việc kết nối vào mạng Internet, nơi chứa rất nhiều nguy cơ tấn công tiềm ẩn, đã trở thành một nhu cầu sống còn của các hệ thống thông tin thì vấn đề bảo mật càng cần phải được quan tâm và đầu tư đúng mức. Tài liệu này nhắm đến đối tượng sinh viên là những người vừa học vừa làm, do đó các vấn đề bảo mật thực tế trên mạng được quan tâm nhiều hơn là các cơ sở lý thuyết. Các chuyên đề về mật mã cũng được trình bày đơn giản theo cách nhìn của người sử dụng, không quá chuyên sâu về cơ sở toán học, do đó, nếu có nhu cầu tìm hiểu sâu hơn hoặc chứng minh các thuật toán, sinh viên cần phải đọc thêm các tài liệu về lý thuyết số. Nội dung tài liệu được chia thành 3 chương: -Chương 1:Tổng quan về bảo mật hệ thống thông tin, trình bày các vấn đề chung về bảo mật và an toàn hệ thống, các nguy cơ và các phương thức tấn công vào hệ thống thông tin, các ứng dụng bảo vệ hệ thống thông tin đang được sử dụng như Firewall và IDS… -Chương 2: Mật mã và xác thực thông tin, trình bày các cơ chế mật mã và xác thực nhằm đảm bảo tính Bí mật và Toàn vẹn của thông tin. Phần này mô tả nguyên lý của các thuật toán mật mã thông dụng, hàm băm, chữ ký số và các vấn đề quản lý khoá. -Chương 3: Các ứng dụng bảo mật trong hệ thống thông tin, trình bày các ứng dụng thực tế như các giao thức xác thực, bảo mật trong kết nối mạng với IPSec, bảo mật trong ứng dụng Internet với SSL và SET. Cuối mỗi chương đều có phần tóm tắt, các câu hỏi trắc nghiệm và bài tập, giúp sinh viên hệ thống hoá lại kiến thức đã học. Đặc biệt, các bài tập thực hành và lập trình sẽ giúp sinh viên nắm rõ hơn phần lý thuyết, nên cố gắng thực hiện các bài tập này một cách chu đáo. Hy vọng tài liệu này sẽ ít nhiều giúp ích cho việc nghiên cứu chuyên đề an toàn hệ thống thông tin của các bạn sinh viên. Tháng 7/2007. Tác giả. 2CHƯƠNG I TỔNG QUAN VỀ BẢO MẬT HỆ THỐNG THÔNG TIN Giới thiệu: Chương này giúp học viên nắm được các khái niệm thường dùng trong bảo mật và an toàn hệ thống, nguyên tắc xây dựng một hệ thống thông tin bảo mật, nhận diện và phân tích các nguy cơ và rủi ro đối với hệ thống thông tin, từ đó có kế hoạch nâng cấp và bảo vệ hệ thống. Nội dung chương này gồm các phần như sau: -Các đặc trưng của một hệ thống bảo mật. -Nguy cơ và rủi ro đối với hệ thống thông tin. -Các khái niệm dùng trong bảo mật hệ thống -Chiến lược bảo mật hệ thống AAA. -Một số hình thức xâm nhập hệ thống. -Kỹ thuật ngăn chặn và phát hiện xâm nhập. I.1 TỔNG QUAN Vấn đề bảo đảm an toàn cho các hệ thống thông tin là một trong những vấn đề quan trọng cần cân nhắc trong suốt quá trình thiết kế, thi công, vận hành và bảo dưỡng hệ thống thông tin. Cũng như tất cả các hoạt động khác trong đời sống xã hội, từ khi con người có nhu cầu lưu trữ và xử lý thông tin, đặc biệt là từ khi thông tin được xem như một bộ phận của tư liệu sản xuất, thì nhu cầu bảo vệ thông tin càng trở nên bức thiết. Bảo vệ thông tin là bảo vệ tính bí mật của thông tin và tính toàn vẹn của thông tin. Một số loại thông tin chỉ còn ý nghĩa khi chúng được giữ kín hoặc giới hạn trong một số các đối tượng nào đó, ví dụ như thông tin về chiến lược quân sự chẳng hạn. Đây là tính bí mật của thông tin. Hơn nữa, thông tin không phải luôn được con người ghi nhớ do sự hữu hạn của bộ óc, nên cần phải có thiết bị để lưu trữ thông tin. Nếu thiết bị lưu trữ hoạt động không an toàn, thông tin lưu trữ trên đó bị mất đi hoặc sai lệch toàn bộ hay một phần, khi đó tính toàn vẹn của thông tin không còn được bảo đảm. Khi máy tính được sử dụng để xử lý thông tin, hiệu quả xử lý thông tin được nâng cao lên, khối lượng thông tin được xử lý càng ngày càng lớn lên, và kéo theo nó, tầm quan trọng của thông tin trong đời sống xã hội cũng tăng lên. Nếu như trước đây, việc bảo vệ thông tin chỉ chú trọng vào vấn đề dùng các cơ chế và phương tiện vật lý để bảo vệ thông tin theo đúng nghĩa đen của từ này, thì càng về sau, vấn đề bảo vệ thông tin đã trở nên đa dạng hơn và phức tạp hơn. Có thể kể ra hai điều thay đổi lớn sau đây đối với vấn đề bảo vệ thông tin: 1-Sự ứng dụng của máy tính trong việc xử lý thông tin làm thay đổi dạng lưu trữ của thông tin và phương thức xử lý thông tin. Cần thiết phải xây dựng các cơ chế bảo vệ thông tin theo đặc thù hoạt động của máy tính. Từ đây xuất hiện yêu cầu bảo vệ sự an toàn hoạt động của máy tính (Computer Security) tồn tại song song với yêu cầu bảo vệ sự an toàn của thông tin (Information Security). 2-Sự phát triển mạnh mẽ của mạng máy tính và các hệ thống phân tán làm thay đổi phạm vi tổ chức xử lý thông tin. Thông tin được trao đổi giữa các thiết bị xử lý thông qua một khoảng cách vật lý rất lớn, gần như không giới hạn, làm xuất hiện thêm nhiều nguy cơ hơn đối với sự an toàn của thông tin. Từ đó xuất hiện yêu cầu bảo vệ sự an toàn của hệ thống mạng (Network 3Security), gồm các cơ chế và kỹ thuật phù hợp với việc bảo vệ sự an toàn của thông tin khi chúng được trao đổi giữa các thiết bị trên mạng. Cùng với việc nhận diện hai điều thay đổi lớn đối với vấn đề bảo đảm an toàn thông tin, hiện nay, khái niệm bảo đảm thông tin (Information Assurance) được đề xuất như một giải pháp toàn diện hơn cho bảo mật thông tin. Theo đó, vấn đề an toàn của thông tin không còn chỉ giới hạn trong việc đảm bảo tính bí mật và tính toàn vẹn của thông tin, phạm vi bảo vệ không còn giới hạn trong các hệ thống máy tính làm chức năng xử lý thông tin nữa, mà diễn ra trong tất cả các hệ thống tự động (automated systems). Yêu cầu bảo vệ không còn chỉ tập trung ở vấn đề an toàn động (Security) nữa mà bao gồm cả vấn đề an toàn tĩnh (Safety) và vấn đề tin cậy của hệ thống (Reliability). Trong phạm vi tài liệu này, vấn đề Bảo mật hệ thống thông tin (Information System Security) là vấn đề trọng tâm nhất. Toàn bộ tài liệu sẽ tập trung vào việc mô tả, phân tích các cơ chế và kỹ thuật nhằm cung cấp sự bảo mật cho các hệ thống thông tin. Một hệ thống thông tin, theo cách hiểu ngầm định trong tài liệu này, là hệ thống xử lý thông tin bằng công cụ máy tính, được tổ chức tập trung hoặc phân tán. Do vậy, nội dung của tài liệu sẽ vừa đề cập đến vấn đề bảo mật máy tính (Computer Security) và bảo mật mạng (Network Security). Tuy vậy, các kỹ thuật bảo mật mạng chỉ được đề cập một cách giản lược, dành phần cho một tài liệu khác thuộc chuyên ngành Mạng máy tính và truyền thông, đó là tài liệu Bảo mật mạng. I.2 CÁC ĐẶC TRƯNG CỦA MỘT HỆ THỐNG THÔNG TIN BẢO MẬT Một hệ thống thông tin bảo mật (Secure Information System) là một hệ thống mà thông tin được xử lý trên nó phải đảm bảo được 3 đặc trưng sau đây: -Tính bí mật của thông tin (Confidentiality) -Tính toàn vẹn của thông tin (Integrity) -Tính khả dụng của thông tin (Availability). Ba đặc trưng này được liên kết lại và xem như là mô hình tiêu chuẩn của các hệ thống thông tin bảo mật, hay nói cách khác, đây là 3 thành phần cốt yếu của một hệ thống thông tin Bảo mật. Mô hình này được sử dụng rộng rãi trong nhiều ngữ cảnh và nhiều tài liệu khác nhau, và Hình 1.1: Mô hình CIA Confidentiality AvailabilityIntegrity Secure 4được gọi tắt là mô hình CIA (chú ý phân biệt với thuật ngữ CIA với ý nghĩa Confidentiality, Itegrity, Authentication trong một số tài liệu khác). Phần sau đây sẽ trình bày chi tiết về từng đặc trưng này. I.2.1 Tính bí mật: Một số loại thông tin chỉ có giá trị đối với một đối tượng xác định khi chúng không phổ biến cho các đối tượng khác. Tính bí mật của thông tin là tính giới hạn về đối tượng được quyền truy xuất đến thông tin. Đối tượng truy xuất có thể là con người, là máy tính hoặc phần mềm, kể cả phần mềm phá hoại như virus, worm, spyware, … Tuỳ theo tính chất của thông tin mà mức độ bí mật của chúng có khác nhau. Ví dụ: các thông tin về chính trị và quân sự luôn được xem là các thông tin nhạy cảm nhất đối với các quốc gia và được xử lý ở mức bảo mật cao nhất. Các thông tin khác như thông tin về hoạt động và chiến lược kinh doanh của doanh nghiệp, thông tin cá nhân, đặc biệt của những người nổi tiếng, thông tin cấu hình hệ thống của các mạng cung cấp dịch vụ, v.v… đều có nhu cầu được giữ bí mật ở từng mức độ. Để đảm bảo tính bí mật của thông tin, ngoài các cơ chế và phương tiện vật lý như nhà xưởng, thiết bị lưu trữ, dịch vụ bảo vệ, … thì kỹ thuật mật mã hoá (Cryptography) được xem là công cụ bảo mật thông tin hữu hiệu nhất trong môi trường máy tính. Các kỹ thuật mật mã hoá sẽ được trình bày cụ thể ở chương II. Ngoài ra, kỹ thuật quản lý truy xuất (Access Control) cũng được thiết lập để bảo đảm chỉ có những đối tượng được cho phép mới có thể truy xuất thông tin. Access control sẽ được trình bày ở phần 3 của chương này. Sự bí mật của thông tin phải được xem xét dưới dạng 2 yếu tố tách rời: sự tồn tại của thông tin và nội dung của thông tin đó. Đôi khi, tiết lộ sự tồn tại của thông tin có ý nghĩa cao hơn tiết lộ nội dung của nó. Ví dụ: chiến lược kinh doanh bí mật mang tính sống còn của một công ty đã bị tiết lộ cho một công ty đối thủ khác. Việc nhận thức được rằng có điều đó tồn tại sẽ quan trọng hơn nhiều so với việc biết cụ thể về nội dung thông tin, chẳng hạn như ai đã tiết lộ, tiết lộ cho đối thủ nào và tiết lộ những thông tin gì,… Cũng vì lý do này, trong một số hệ thống xác thực người dùng (user authentication) ví dụ như đăng nhập vào hệ điều hành Netware hay đăng nhập vào hộp thư điện tử hoặc các dịch vụ khác trên mạng, khi người sử dụng cung cấp một tên người dùng (user-name) sai, thay vì thông báo rằng user-name này không tồn tại, thì một số hệ thống sẽ thông báo rằng mật khẩu (password) sai, một số hệ thống khác chỉ thông báo chung chung là “Invalid user name/password” (người dùng hoặc mật khẩu không hợp lệ). Dụng ý đằng sau câu thông báo không rõ ràng này là việc từ chối xác nhận việc tồn tại hay không tồn tại một user-name như thế trong hệ thống. Điều này làm tăng sự khó khăn cho những người muốn đăng nhập vào hệ thống một cách bất hợp pháp bằng cách thử ngẫu nhiên. I.2.2 Tính toàn vẹn: Đặc trưng này đảm bảo sự tồn tại nguyên vẹn của thông tin, loại trừ mọi sự thay đổi thông tin có chủ đích hoặc hư hỏng, mất mát thông tin do sự cố thiết bị hoặc phần mềm. Tính toàn vẹn được xét trên 2 khía cạnh: -Tính nguyên vẹn của nội dung thông tin. -Tính xác thực của nguồn gốc của thông tin. 5Nói một cách khác, tính toàn vẹn của thông tin phải được đánh giá trên hai mặt: toàn vẹn về nội dung và toàn vẹn về nguồn gốc. Ví dụ: một ngân hàng nhận được lệnh thanh toán của một người tự xưng là chủ tài khoản với đầy đủ những thông tin cần thiết. Nội dung thông tin được bảo toàn vì ngân hàng đã nhận được một cách chính xác yêu cầu của khách hàng (đúng như người xưng là chủ tài khoản gởi đi). Tuy nhiên, nếu lệnh thanh toán này không phải cho chính chủ tài khoản đưa ra mà do một người nào khác nhờ biết được thông tin bí mật về tài khoản đã mạo danh chủ tài khoản để đưa ra, ta nói nguồn gốc của thông tin đã không được bảo toàn. Một ví dụ khác, một tờ báo đưa tin về một sự kiện vừa xảy ra tại một cơ quan quan trọng của chính phủ, có ghi chú rằng nguồn tin từ người phát ngôn của cơ quan đó. Tuy nhiên, nếu tin đó thật sự không phải do người phát ngôn công bố mà được lấy từ một kênh thông tin khác, không xét đến việc nội dung thông tin có đúng hay không, ta nói rằng nguồn gốc thông tin đã không được bảo toàn. Sự tòan vẹn về nguồn gốc thông tin trong một số ngữ cảnh có ý nghĩa tương đương với sự đảm bảo tính không thể chối cãi (non-repudiation) của hệ thống thông tin. Các cơ chế đảm bảo sự toàn vẹn của thông tin được chia thành 2 loại: các cơ chế ngăn chặn (Prevention mechanisms) và các cơ chế phát hiện (Detection mechanisms). Cơ chế ngăn chặn có chức năng ngăn cản các hành vi trái phép làm thay đổi nội dung và nguồn gốc của thông tin. Các hành vi này bao gồm 2 nhóm: hành vi cố gắng thay đổi thông tin khi không được phép truy xuất đến thông tin và hành vi thay đổi thông tin theo cách khác với cách đã được cho phép. Ví dụ: một người ngoài công ty cố gắng truy xuất đến cơ sở dữ liệu kế toán của một công ty và thay đổi dữ liệu trong đó. Đây là hành vi thuộc nhóm thứ nhất. Trường hợp một nhân viên kế toán được trao quyền quản lý cơ sở dữ liệu kế toán của công ty, và đã dùng quyền truy xuất của mình để thay đổi thông tin nhằm biển thủ ngân quỹ, đây là hành vi thuộc nhóm thứ hai. Nhóm các cơ chế phát hiện chỉ thực hiện chức năng giám sát và thông báo khi có các thay đổi diễn ra trên thông tin bằng cách phân tích các sự kiện diễn ra trên hệ thống mà không thực hiện chức năng ngăn chặn các hành vi truy xuất trái phép đến thông tin. Nếu như tính bí mật của thông tin chỉ quan tâm đến việc thông tin có bị tiết lộ hay không, thì tính toàn vẹn của thông tin vừa quan tâm tới tính chính xác của thông tin và cả mức độ tin cậy của thông tin. Các yếu tố như nguồn gốc thông tin, cách thức bảo vệ thông tin trong quá khứ cũng như trong hiện tại đều là những yếu tố quyết định độ tin cậy của thông tin và do đó ảnh hưởng đến tính toàn vẹn của thông tin. Nói chung, việc đánh giá tính toàn vẹn của một hệ thống thông tin là một công việc phức tạp. I.2.3 Tính khả dụng: Tính khả dụng của thông tin là tính sẵn sàng của thông tin cho các nhu cầu truy xuất hợp lệ. Ví dụ: các thông tin về quản lý nhân sự của một công ty được lưu trên máy tính, được bảo vệ một cách chắc chắn bằng nhiều cơ chế đảm bảo thông tin không bị tiết lộ hay thay đổi. Tuy nhiên, khi người quản lý cần những thông tin này thì lại không truy xuất được vì lỗi hệ thống. Khi đó, thông tin hoàn toàn không sử dụng được và ta nói tính khả dụng của thông tin không được đảm bảo. 6Tính khả dụng là một yêu cầu rất quan trọng của hệ thống, bởi vì một hệ thống tồn tại nhưng không sẵn sàng cho sử dụng thì cũng giống như không tồn tại một hệ thống thông tin nào. Một hệ thống khả dụng là một hệ thống làm việc trôi chảy và hiệu quả, có khả năng phục hồi nhanh chóng nếu có sự cố xảy ra. Trong thực tế, tính khả dụng được xem là nền tảng của một hệ thống bảo mật, bởi vì khi hệ thống không sẵn sàng thì việc đảm bảo 2 đặc trưng còn lại (bí mật và toàn vẹn) sẽ trở nên vô nghĩa. Hiện nay, các hình thức tấn công từ chối dịch vụ DoS (Denial of Service) và DDoS (Distributed Denial of Service) được đánh giá là các nguy cơ lớn nhất đối với sự an toàn của các hệ thống thông tin, gây ra những thiệt hại lớn và đặc biệt là chưa có giải pháp ngăn chặn hữu hiệu. Các hình thức tấn công này đều nhắm vào tính khả dụng của hệ thống. Một số hướng nghiên cứu đang đưa ra các mô hình mới cho việc mô tả các hệ thống an toàn. Theo đó, mô hình CIA không mô tả được đầy đủ các yêu cầu an toàn của hệ thống mà cần phải định nghĩa lại một mô hình khác với các đặc tính của thông tin cần được đảm bảo như: -Tính khả dụng (Availability) -Tính tiện ích (Utility) -Tính toàn vẹn (Integrity) -Tính xác thực (Authenticity) -Tính bảo mật (Confidentiality) -Tính sở hữu (Possession) I.3 CÁC NGUY CƠ VÀ RỦI RO ĐỐI VỚI HỆ THỐNG THÔNG TIN I.3.1 Nguy cơ: Nguy cơ (threat) là những sự kiện có khả năng ảnh hưởng đến an toàn của hệ thống. Ví dụ: tấn công từ chối dịch vụ (DoS và DDoS) là một nguy cơ đối với hệ thống các máy chủ cung cấp dịch vụ trên mạng. Khi nói đến nguy cơ, nghĩa là sự kiện đó chưa xảy ra, nhưng có khả năng xảy ra và có khả năng gây hại cho hệ thống. Có những sự kiện có khả năng gây hại, nhưng không có khả năng xảy ra đối với hệ thống thì không được xem là nguy cơ. Ví dụ: tấn công của sâu Nimda (năm 2001) có khả năng gây tê liệt toàn bộ hệ thống mạng nội bộ. Tuy nhiên, sâu Nimda chỉ khai thác được lỗi bảo mật của phần mềm IIS (Internet Information Service) trên Windows (NT và 2000) và do đó chỉ có khả năng xảy ra trên mạng có máy cài đặt hệ điều hành Windows. Nếu một mạng máy tính chỉ gồm toàn các máy cài hệ điều hành Unix hoặc Linux thì sâu Nimda hoàn toàn không có khả năng tồn tại, và do vậy, sâu Nimda không phải là một nguy cơ trong trường hợp này. Có thể chia các nguy cơ thành 4 nhóm sau đây: -Tiết lộ thông tin / truy xuất thông tin trái phép -Phát thông tin sai / chấp nhận thông tin sai -Phá hoại / ngăn chặn hoạt động của hệ thống -Chiếm quyền điều khiển từng phần hoặc toàn bộ hệ thống Đây là cách phân chia rất khái quát. Mỗi nhóm sẽ bao gồm nhiều nguy cơ khác nhau. 7 Nghe lén, hay đọc lén (gọi chung là snooping) là một trong những phương thức truy xuất thông tin trái phép. Các hành vi thuộc phương thức này có thể đơn giản như việc nghe lén một cuộc đàm thoại, mở một tập tin trên máy của người khác, hoặc phức tạp hơn như xen vào một kết nối mạng (wire-tapping) để ăn cắp dữ liệu, hoặc cài các chương trình ghi bàn phím (key-logger) để ghi lại những thông tin quan trọng được nhập từ bàn phím.  Nhóm nguy cơ phát thông tin sai / chấp nhận thông tin sai bao gồm những hành vi tương tự như nhóm ở trên nhưng mang tính chủ động, tức là có thay đổi thông tin gốc. Nếu thông tin bị thay đổi là thông tin điều khiển hệ thống thì mức độ thiệt hại sẽ nghiêm trọng hơn nhiều bởi vì khi đó, hành vi này không chỉ gây ra sai dữ liệu mà còn có thể làm thay đổi các chính sách an toàn của hệ thống hoặc ngăn chặn hoạt động bình thường của hệ thống. Trong thực tế, hình thức tấn công xen giữa Man-in-the-middle (MITM) là một dạng của phương thức phát thông tin sai / chấp nhận thông tin sai. Hoạt động của hình thức tấn công này là xen vào một kết nối mạng, đọc lén thông tin và thay đổi thông tin đó trước khi gởi đến cho nơi nhận. Giả danh (spoofing) cũng là một dạng hành vi thuộc nhóm nguy cơ phát thông tin sai / chấp nhận thông tin sai. Hành vi này thực hiện việc trao đổi thông tin với một đối tác bằng cách giả danh một thực thể khác. Phủ nhận hành vi (repudiation) cũng là một phương thức gây sai lệch thông tin. Bằng phương thức này, một thực thể thực hiện hành vi phát ra thông tin, nhưng sau đó lại chối bỏ hành vi này, tức không công nhận nguồn gốc của thông tin, và do đó vi phạm yêu cầu về tính toàn vẹn của thông tin. Ví dụ: một người chủ tài khoản yêu cầu ngân hàng thanh toán từ tài khoản của mình. Mọi thông tin đều chính xác và ngân hàng đã thực hiện lệnh. Tuy nhiên sau đó người chủ tài khoản lại phủ nhận việc mình đã đưa ra lệnh thanh toán. Khi đó, thông tin đã bị sai lệch do nguồn gốc của thông tin không còn xác định.  Nhóm nguy cơ thứ 3 bao gồm các hành vi có mục đích ngăn chặn hoạt động bình thường của hệ thống bằng cách làm chậm hoặc gián đoạn dịch vụ của hệ thống. Tấn công từ chối dịch vụ hoặc virus là những nguy cơ thuộc nhóm này.  Chiếm quyền điều khiển hệ thống gây ra nhiều mức độ thiệt hại khác nhau, từ việc lấy cắp và thay đổi dữ liệu trên hệ thống, đến việc thay đổi các chính sách bảo mật và vô hiệu hoá các cơ chế bảo mật đã được thiết lập. Ví dụ điển hình cho nhóm nguy cơ này là các phương thức tấn công nhằm chiếm quyền root trên các máy tính chạy Unix hoặc Linux bằng cách khai thác các lỗi phần mềm hoặc lỗi cấu hình hệ thống. Tấn công tràn bộ đệm (buffer overflow) là cách thường dùng nhất để chiếm quyền root trên các hệ thống Linux vốn được xây dựng trên nền tảng của ngôn ngữ lập trình C. I.3.2 Rủi ro và quản lý rủi ro: Rủi ro (risk) là xác suất xảy ra thiệt hại đối với hệ thống. Rủi ro bao gồm 2 yếu tố: Khả năng xảy ra rủi ro và thiệt hại do rủi ro gây ra. Có những rủi ro có khả năng xảy ra rất cao nhưng mức độ thiệt hại thì thấp và ngược lại. 8Ví dụ: rủi ro mất thông tin trên hệ thống không có cơ chế bảo vệ tập tin, chẳng hạn như Windows 98. Windows 98 không có cơ chế xác thực người sử dụng nên bất cứ ai cũng có thể sử dụng máy với quyền cao nhất. Nếu trên đó chỉ có chứa các tập tin văn bản không có tính bí mật thì việc mất một tập tin thì thiệt hại gây ra chỉ là mất công sức đánh máy văn bản đó. Đây là dạng rủi ro có xác suất xảy ra cao nhưng thiệt hại thấp. Một ví dụ khác: trên máy chủ cung cấp dịch vụ có một phần mềm có lỗi tràn bộ đệm, và nếu khai thác được lỗi này thì kẻ tấn công có thể chiếm được quyền điều khiển toàn bộ hệ thống. Tuy nhiên, đây là phần mềm không phổ biến và để khai thác được lỗi này, kẻ tấn công phải có những kỹ năng cao cấp. Rủi ro hệ thống bị chiếm quyền điều khiển được đánh giá là có khả năng xảy ra thấp, nhưng nếu có xảy ra, thì thiệt hại sẽ rất cao. Cần chú ý phân biệt giữa nguy cơ và rủi ro. Nguy cơ là những hành vi, những sự kiện hoặc đối tượng có khả năng gây hại cho hệ thống. Rủi ro là những thiệt hại có khả năng xảy ra đối với hệ thống. Ví dụ: Tấn công từ chối dịch vụ là một nguy cơ (threat). Đây là một sự kiện có khả năng xảy ra đối với bất kỳ hệ thống cung cấp dịch vụ nào. Thiệt hại do tấn công này gây ra là hệ thống bị gián đoạn hoạt động, đây mới là rủi ro (risk). Tuy nhiên, không phải bất kỳ tấn công từ chối dịch vụ nào xảy ra cũng đều làm cho hệ thống ngưng hoạt động, và hơn nữa, tấn công từ chối dịch vụ không phải là nguồn gốc duy nhất gây ra gián đoạn hệ thống; những nguy cơ khác như lỗi hệ thống (do vận hành sai), lỗi phần mềm (do lập trình), lỗi phần cứng (hư hỏng thiết bị, mất điện, …) cũng đều có khả năng dẫn đến gián đoạn hệ thống. Một ví dụ khác, xét trường hợp lưu trữ tập tin trên một máy tính chạy hệ điều hành Windows 98 đã nói ở trên. Nguy cơ đối với hệ thống là các hành vi sửa hoặc xoá tập tin trên máy người khác. Những người hay sử dụng máy tính của người khác cũng được xem là nguy cơ đối với hệ thống. Rủi ro đối với hệ thống trong trường hợp này là việc tập tin bị mất hoặc bị sửa. Trong thực tế, việc đề ra chính sách bảo mật cho một hệ thống thông tin phải đảm bảo được sự cân bằng giữa lợi ích của việc bảo đảm an toàn hệ thống và chi phí thiết kế, cài đặt và vận hành các cơ chế bảo vệ chính sách đó. Công việc quản lý rủi ro trên một hệ thống là quy trình cần thiết để nhận diện tất cả những rủi ro đối với hệ thống, những nguy cơ có thể dẫn đến rủi ro và phân tích lợi ích / chi phí của giải pháp ngăn chặn rủi ro. Quy trình phân tích rủi ro bao gồm các bước: -Nhận dạng các rủi ro đối với hệ thống -Chọn lựa và thực hiện các giải pháp để giảm bớt rủi ro. -Theo dõi và đánh giá thiệt hại của những rủi ro đã xảy ra, làm cơ sở cho việc điều chỉnh lại hai bước đầu. I.3.3 Vấn đề con người trong bảo mật hệ thống: Con người luôn là trung tâm của tất cả các hệ thống bảo mật, bởi vì tất cả các cơ chế, các kỹ thuật được áp dụng để bảo đảm an toàn hệ thống đều có thể dễ dàng bị vô hiệu hoá bởi con người trong chính hệ thống đó. Ví dụ: hệ thống xác thực người sử dụng yêu cầu mỗi người trong hệ thống khi muốn thao tác trên hệ thống đều phải cung cấp tên người dùng và mật khẩu. Tuy nhiên, nếu người được cấp mật khẩu không bảo quản kỹ thông tin này, hoặc thậm chí đem tiết lộ cho người khác biết, thì khả năng xảy ra các vi phạm đối với chính sách an toàn là rất cao vì hệ thống xác thực đã bị vô hiệu hoá. 9Những người có chủ ý muốn phá vỡ chính sách bảo mật của hệ thống được gọi chung là những người xâm nhập (intruder hoặc attacker) và theo cách nghĩ thông thường thì đây phải là những người bên ngoài hệ thống. Tuy nhiên, thực tế đã chứng minh được rằng chính những người bên trong hệ thống, những người có điều kiện tiếp cận với hệ thống lại là những người có khả năng tấn công hệ thống cao nhất. Đó có thể là một nhân viên đang bất mãn và muốn phá hoại, hoặc chỉ là một người thích khám phá và chứng tỏ mình. Các tấn công gây ra bởi các đối tượng này thường khó phát hiện và gây thiệt hại nhiều hơn các tấn công từ bên ngoài. Những người không được huấn luyện về an toàn hệ thống cũng là nơi tiềm ẩn các nguy cơ do những hành vi vô ý của họ như thao tác sai, bỏ qua các khâu kiểm tra an toàn, không tuân thủ chính sách bảo mật thông tin như lưu tập tin bên ngoài thư mục an toàn, ghi mật khẩu lên bàn làm việc, … I.4 NGUYÊN TẮC XÂY DỰNG MỘT HỆ THỐNG BẢO MẬT I.4.1 Chính sách và cơ chế: Hai khái niệm quan trọng thường được đề cập khi xây dựng một hệ thống bảo mật: -Chính sách bảo mật (Security policy) -Cơ chế bảo mật (Security mechanism) Chính sách bảo mật là hệ thống các quy định nhằm đảm bảo sự an toàn của hệ thống. Cơ chế bảo mật là hệ thống các phương pháp, công cụ, thủ tục, …dùng để thực thi các quy định của chính sách bảo mật. Chính sách bảo